ISO 27002:2022, Kontrolle 6.6 – Vertraulichkeits- oder Geheimhaltungsvereinbarungen

Attributtabelle

Steuerelemente werden anhand von Attributen klassifiziert. Mithilfe dieser können Sie Ihre Steuerungsauswahl schnell mit häufig verwendeten Branchenbegriffen und -spezifikationen abgleichen.

Attribute für Control 6.5 sind:

Was ist der Zweck von Kontrolle 6.6?

Kontrolle 6.6 sollte implementiert werden, um die Informationssicherheit zu gewährleisten, wenn Mitarbeiter, Partner und Lieferanten mit einer Organisation zusammenarbeiten.

Diese Kontrolle soll die Sicherheit gewährleisten Informationen der Organisation zu veröffentlichen und die Unterzeichner über ihre Verantwortung zu informieren verantwortungsvoll und autorisiert mit Informationen umzugehen und diese zu schützen. Es wird auch als Instrument zum Schutz geistiger Eigentumsrechte wie Patente, Marken, Geschäftsgeheimnisse und Urheberrechte eingesetzt.

Für Arbeitgeber ist es wichtig, eine Geheimhaltungsvereinbarung abzuschließen, bevor sie vertrauliche Informationen an einen Mitarbeiter oder Auftragnehmer weitergeben. In der Vereinbarung wird festgelegt, wie streng die Person die Informationen, denen sie ausgesetzt ist, schützen soll und wie lange die Vertraulichkeitsfrist nach Beendigung des Arbeitsverhältnisses gilt.

Steuerung 6.6 erklärt

Control 6.6 zielt darauf ab, das geistige Eigentum und die Geschäftsinteressen Ihrer Organisation zu schützen, indem die Offenlegung sensibler Informationen an Dritte verhindert wird. Es bezieht sich auf einen rechtsgültigen Vertrag oder eine Vereinbarung zwischen Ihrer Organisation und ihren Mitarbeitern, Partnern, Auftragnehmern, Lieferanten und anderen Dritten das die Verwendung vertraulicher Informationen regelt.

Als vertrauliche Informationen gelten alle Informationen, die nicht der Öffentlichkeit oder anderen Unternehmen einer ähnlichen Branche zugänglich gemacht wurden. Beispiele hierfür sind Geschäftsgeheimnisse, Kundenlisten, Formeln und Geschäftspläne.

Die Kontrolle sollte bei der Beurteilung durchgeführt werden, ob a Dritte erhalten Zugriff auf sensible personenbezogene Datenund ob Maßnahmen ergriffen werden müssen, um sicherzustellen, dass sie die sensiblen personenbezogenen Daten der Organisation nach ihrem Ausscheiden nicht behalten und weiterhin darauf zugreifen.

Wenn eine Organisation feststellt, dass ein Dritter die Geschäftsbeziehung verlässt, und das Risiko besteht, dass dadurch sensible Organisations- oder Unternehmensdaten offengelegt werden, muss die Organisation angemessene Maßnahmen ergreifen, bevor dieser Dritte die Geschäftsbeziehung verlässt oder so schnell wie möglich nach ihrem Weggang, um eine solche Offenlegung zu verhindern.

Was dazugehört und wie man die Anforderungen erfüllt

Kontrolle 6.6 bedeutet, dass die Vertragsparteien keine vertraulichen Informationen offenlegen, die unter die Vereinbarung fallen. Die Informationen dürfen nur mit schriftlicher Zustimmung der Organisation oder gemäß einer gerichtlichen Anordnung weitergegeben werden. Dies ist wichtig, um sensible Informationen über Geschäftspraktiken, geistiges Eigentum sowie Forschung und Entwicklung zu schützen.

Um die Anforderungen der Kontrolle 6.6 zu erfüllen, muss eine Vereinbarung/ein Vertrag zur „Vertraulichkeit“ und „Geheimhaltung“ sorgfältig ausgearbeitet werden, damit sie alle Geschäftsgeheimnisse und sensiblen Daten-/Informationsaspekte der Geschäfte und Transaktionen der Organisation abdeckt. Es ist wichtig, dass beide Parteien ihre Pflichten aus dem Vertrag und ihre Pflichten während und nach Beendigung der Geschäftsbeziehung verstehen.

Eine Vertraulichkeitsklausel kann auch in andere Verträge aufgenommen werden, die über das Ende des Arbeitsverhältnisses des Arbeitnehmers oder der Beauftragung Dritter hinausgehen.

Es ist zwingend erforderlich, dass die Sicherheitsverantwortung und -pflichten der Person, die eine Geschäftsbeziehung verlässt oder den Arbeitsplatz wechselt, auf eine neue Person übertragen, alle Zugangsdaten gelöscht und eine neue erstellt werden.

Die folgenden Elemente sollten bei der Identifizierung von Vertraulichkeits- und Geheimhaltungsvereinbarungen berücksichtigt werden:

1. Eine Beschreibung der Informationen, die geschützt werden müssen (z. B. vertrauliche Daten);
2. Dauer einer Vereinbarung, einschließlich Situationen, in denen die Vertraulichkeit auf unbestimmte Zeit oder bis zur Veröffentlichung der Informationen gewahrt bleiben muss;
3. Die erforderlichen Maßnahmen im Falle einer Vertragskündigung;
4. Verantwortlichkeiten und Maßnahmen, die die Unterzeichner ergreifen sollten, um die unbefugte Offenlegung von Informationen zu verhindern;
5. Wie sich das Eigentum an Informationen, Geschäftsgeheimnissen und geistigem Eigentum auf die Vertraulichkeit auswirkt;
6. Die zulässige Nutzung vertraulicher Informationen sowie die Rechte des Unterzeichners, diese zu nutzen;
7. Das Recht auf Überwachung bzw Prüfungstätigkeiten mit hochsensible Informationen;
8. Das Verfahren zur Benachrichtigung und Meldung unbefugter Offenlegungen oder Weitergabe vertraulicher Informationen;
9. Die Bedingungen für die Rückgabe oder Vernichtung von Informationen bei Beendigung der Vereinbarung;
10. Die Maßnahmen, die ergriffen werden müssen, wenn die Vereinbarung nicht eingehalten wird.

Die Organisation sollte sicherstellen, dass Vertraulichkeits- und Geheimhaltungsvereinbarungen im Einklang mit den Gesetzen der Gerichtsbarkeit stehen, in der sie gelten.

Eine Überprüfung der Vertraulichkeits- und Geheimhaltungsvereinbarungen sollte regelmäßig und immer dann erfolgen, wenn sich Änderungen auf ihre Anforderungen auswirken.

Weitere Informationen zur Funktionsweise finden Sie im Standarddokument ISO 27002:2022.

Änderungen und Unterschiede zu ISO 27002:2013

Control 6.6 in der neuen ISO 27002:2022 ist keine neue Kontrolle, sondern eine modifizierte Version der Kontrolle 13.2.4 in ISO 27002:2013.

Obwohl diese beiden Steuerelemente ähnliche Funktionen enthalten, unterscheiden sie sich geringfügig. Beispielsweise sind die Implementierungsleitfäden in beiden Versionen zwar ähnlich, aber nicht identisch.

Der Erste Teil der Umsetzungsanleitung In Kontrolle 13.2.4 in ISO 27002:2013 heißt es:

„Vertraulichkeits- oder Geheimhaltungsvereinbarungen sollten die Anforderung zum Schutz vertraulicher Informationen durch rechtlich durchsetzbare Bedingungen berücksichtigen. Vertraulichkeits- oder Geheimhaltungsvereinbarungen gelten für externe Parteien oder Mitarbeiter der Organisation. Elemente sollten unter Berücksichtigung der Art der anderen Partei und ihres zulässigen Zugriffs oder Umgangs mit vertraulichen Informationen ausgewählt oder hinzugefügt werden.“

Im gleichen Abschnitt in Kontrolle 6.6 von ISO 27002:2022 heißt es:

„Vertraulichkeits- oder Geheimhaltungsvereinbarungen sollten die Anforderung zum Schutz vertraulicher Informationen durch rechtlich durchsetzbare Bedingungen berücksichtigen. Vertraulichkeits- oder Geheimhaltungsvereinbarungen gelten für interessierte Parteien und Mitarbeiter der Organisation.

Basierend auf den Informationssicherheitsanforderungen einer Organisation sollten die Bedingungen in den Vereinbarungen unter Berücksichtigung der Art der zu verarbeitenden Informationen, ihres Klassifizierungsgrads, ihrer Verwendung und des zulässigen Zugriffs durch die andere Partei festgelegt werden.“

Obwohl sich beide Steuerelemente in ihrer semantischen Bedeutung unterscheiden, haben sie in ihren jeweiligen Kontexten eine ähnliche Struktur und Funktion. Control 6.6 verwendet jedoch eine einfachere und benutzerfreundlichere Sprache, sodass Inhalt und Kontext leichter verständlich sind. Dies bedeutet, dass diejenigen, die den Standard verwenden werden, sich leichter mit dem Inhalt identifizieren können.

Darüber hinaus enthält die Version 2022 von ISO 27002 Zweckerklärungen und Attributtabellen für jede Kontrolle, die Benutzern helfen, die Kontrollen besser zu verstehen und umzusetzen. Diese beiden Abschnitte sind in der Ausgabe 2013 nicht verfügbar.

Wer ist für diesen Prozess verantwortlich?

Gemäß Steuerung 6.6 der Norm ISO 27002 ist in den meisten Organisationen die Personalabteilung in der Regel für die Ausarbeitung und Umsetzung der Vertraulichkeits- oder Geheimhaltungsvereinbarung verantwortlich, was die Zusammenarbeit mit dem Vorgesetzten oder der Abteilung des betreffenden Dritten beinhaltet.

Der leitende Manager könnte der Informationssicherheitsbeauftragte, der Vertriebs- oder Produktionsleiter sein.

Diese Abteilungen und Leiter sind auch dafür verantwortlich, sicherzustellen, dass alle von der Organisation eingesetzten Drittanbieter über angemessene Sicherheitsmaßnahmen verfügen, um vertrauliche Informationen vor unbefugter Offenlegung oder Nutzung zu schützen.

Sie sollten sicherstellen, dass alle Mitarbeiter eine Vertraulichkeitsvereinbarung unterzeichnen, wenn sie ihre Tätigkeit im Unternehmen aufnehmen.

In den meisten Fällen (abhängig von der Größe der Organisation) werden Vertraulichkeits- oder Geheimhaltungsvereinbarungen von allen Mitarbeitern unterzeichnet, die Zugang zu vertraulichen Informationen haben.

Dazu gehören in der Regel alle Mitarbeiter, die in den Bereichen Vertrieb, Marketing, Kundenservice oder anderen Abteilungen tätig sind und in denen sie möglicherweise mit vertraulichen Informationen über Klienten, Kunden oder Lieferanten in Kontakt kommen.

In manchen Fällen sollten Organisationen, selbst wenn es keine tatsächliche schriftliche Vereinbarung zwischen zwei Parteien gibt, über Richtlinien verfügen, die ihre Mitarbeiter dazu verpflichten, eine Vertraulichkeitsvereinbarung zu unterzeichnen, bevor ihnen Zugang zu sensiblen Informationen über Kunden oder Lieferanten gewährt wird.

Zu den Risiken, die mit dem Fehlen einer angemessenen Vertraulichkeitsvereinbarung verbunden sind, gehören:

• Mitarbeiter können versehentlich vertrauliche Informationen an jemanden außerhalb des Unternehmens weitergeben, der keinen Zugriff darauf haben sollte, was der Organisation Schaden zufügt.
• Ein Mitarbeiter kann sensible Daten an einen Konkurrenten weitergeben.
• Ein verärgerter Mitarbeiter kann das geistige Eigentum (IP) des Unternehmens stehlen und es zu seinem eigenen Vorteil nutzen.
• Mitarbeiter könnten versehentlich vertrauliche Informationen auf ihrem Computer-Desktop am Arbeitsplatz oder auf ihrem Laptop zu Hause hinterlassen, die von einem Hacker gestohlen werden könnten.

Was bedeuten diese Veränderungen für Sie?

Die Norm ISO 27002:2013 wurde nicht wesentlich geändert. Der Standard wurde lediglich aktualisiert, um die Benutzerfreundlichkeit zu erleichtern. Organisationen, die derzeit ISO 27002:2013 einhalten, müssen keine zusätzlichen Schritte unternehmen Einhaltung aufrechtzuerhalten mit dem Standard.

Um die Änderungen in ISO 27002:2022 einzuhalten, kann es für die Organisation erforderlich sein, einige geringfügige Änderungen an ihren bestehenden Prozessen und Verfahren vorzunehmen, insbesondere wenn eine erneute Zertifizierung erforderlich ist.

Um mehr darüber zu erfahren, wie sich diese Änderungen an Control 6.6 auf Ihr Unternehmen auswirken werden, lesen Sie bitte unseren Leitfaden zu ISO 27002:2022.

Wie ISMS.Online hilft

ISO 27002 ist ein weithin anerkannter Informationssicherheitsstandard Dies stellt eine Reihe von Anforderungen an eine Organisation dar, um die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen zu schützen. Der Standard wurde von der International Organization for Standardization (ISO) entwickelt, einer Nichtregierungsorganisation, die internationale Standards festlegt, überprüft und veröffentlicht.

ISMS.Online hilft Organisationen und Unternehmen dabei, die Anforderungen von ISO 27002 zu erfüllen, indem es ihnen eine Plattform zur Verfügung stellt, die es einfach macht, ihre Vertraulichkeits- oder Geheimhaltungsrichtlinien und -verfahren zu verwalten, sie bei Bedarf zu aktualisieren, sie zu testen und ihre Wirksamkeit zu überwachen.

Wir bieten eine cloudbasierte Plattform dafür Verwaltung von Vertraulichkeits- und Informationssicherheits-Managementsystemen, einschließlich Geheimhaltungsklauseln, Risikomanagement, Richtlinien, Pläne und Verfahren, an einem zentralen Ort. Die Plattform ist einfach zu bedienen und verfügt über eine intuitive Benutzeroberfläche, die das Erlernen der Bedienung erleichtert.

ISMS.Online ermöglicht Ihnen:

• Dokumentieren Sie Ihre Prozesse. Mit dieser intuitiven Benutzeroberfläche können Sie Ihre Prozesse dokumentieren, ohne Software auf Ihrem Computer oder Netzwerk installieren zu müssen.
• Automatisieren Sie Ihre Risikobewertung verarbeiten.
• Weisen Sie Compliance ganz einfach mit Online-Berichten und Checklisten nach.
• Halten Sie den Fortschritt fest, während Sie auf die Zertifizierung hinarbeiten.

ISMS.Online bietet a volle Palette von Funktionen um Organisationen und Unternehmen dabei zu helfen, die Einhaltung des Industriestandards ISO 27001 und/oder ISO 27002 ISMS zu erreichen.

Bitte kontaktieren Sie uns noch heute planen eine Demo.